Мой кабинет

Руководство · Британский закон

UK GDPR и cookie в Великобритании без юридического жаргона

После Brexit у Великобритании остались собственные правила конфиденциальности и cookie. В 2026 году они снова изменились: появились исключения из согласия, штрафы за cookie выросли, а регулятор получил другое название. В этом руководстве объясняется, что действует сегодня для сайта с AdSense или Ad Manager, получающего британских посетителей.

Проверить мой трафик из ВеликобританииЧитать руководство
  • ✓Основано на британском законодательстве и официальных рекомендациях регулятора
  • ✓Примеры сайтов с рекламой, в том числе бразильских
  • ✓Проверка без изменения сайта
£17,5 млнпотолок самых серьёзных штрафов по UK GDPR
4%годовой мировой выручки, если эта сумма больше фиксированного потолка
5исключений из согласия для cookie в официальных рекомендациях 2026 года
72 hсрок уведомления регулятора об утечке данных, создающей риск для людей

Что это

Три правила, которые работают вместе

Когда Великобритания вышла из Европейского союза, она скопировала европейский GDPR в собственное законодательство. Эта копия, действующая с 1 января 2021 года, называется UK GDPR. Она работает вместе с Data Protection Act 2018, британским законом, дополняющим и адаптирующим текст, и с PECR, регламентом 2003 года о cookie, e-mail-маркетинге и электронных коммуникациях.

На практике UK GDPR определяет, что такое персональные данные, когда их можно использовать и какие права есть у людей. PECR отвечает на более конкретный вопрос: когда сайт может записывать или читать информацию на устройстве посетителя. Cookie, пиксели, локальное хранилище браузера, снятие цифрового отпечатка устройства и скрипты отслеживания подпадают под это правило.

Закон действует для компаний, учреждённых в Великобритании, а также для иностранных компаний, которые предлагают товары или услуги людям в стране или отслеживают их поведение. Бразильский сайт, использующий рекламные cookie для создания профилей британских посетителей, отслеживает поведение, даже без офиса в Лондоне.

В 2025 году Data (Use and Access) Act 2025 изменил все три нормы. Большая часть изменений начала действовать 5 февраля 2026 года. А 30 сентября 2026 года регулятор ICO уступил место Information Commission, которая взяла на себя те же функции и полномочия.

Чек-лист

Что нужно выполнить

Вот требования, которые британский регулятор и Google предъявляют к сайту с рекламой, на который заходят посетители из Великобритании.

  1. Используйте CMP, сертифицированную Google

    С 16 января 2024 года Google требует сертифицированную CMP, интегрированную с IAB TCF, чтобы показывать персонализированную рекламу в Великобритании. Без неё этот трафик может получать только неперсонализированную или ограниченную рекламу.

    Пример

    В разделе «Конфиденциальность и сообщения» создайте сообщение о европейских нормах, которое действует для ЕЭЗ, Великобритании и Швейцарии.

  2. Запрашивайте согласие на каждый рекламный cookie

    Официальное руководство гласит, что онлайн-реклама никогда не была исключена из требования о согласии. Рекламные cookie и пиксели можно сохранять только после действительного согласия.

    Пример

    Пиксель ремаркетинга загружается только после нажатия «Согласиться».

  3. Сделайте отказ таким же простым, как согласие

    Регулятор ожидает, что отказаться будет так же легко, как согласиться. Молчание или отсутствие ответа согласием не считаются.

    Пример

    «Согласиться» и «Не соглашаться» стоят рядом на первом экране и имеют одинаковый размер.

  4. Начинайте с выключенных настроек

    Параметры для технологий, которым нужно согласие, по умолчанию должны быть выключены. Включить их может только активный выбор посетителя.

    Пример

    На экране настроек переключатели рекламы и измерения рекламы изначально находятся в положении «выключено».

  5. Назовите третьи стороны

    Чтобы согласие было действительным, сайт должен сообщить, кто эти третьи стороны, получающие данные.

    Пример

    В баннере есть ссылка на список партнёров, в котором указаны Google и каждая рекламная сеть сайта.

  6. Позвольте отозвать согласие в любой момент

    Закон требует, чтобы посетитель мог отозвать согласие, когда захочет. Политика Google также требует понятных инструкций для этого.

    Пример

    Постоянная ссылка в подвале «Настройки конфиденциальности» снова открывает баннер.

  7. Используйте исключения только с уведомлением и простым отказом

    Cookie для статистики и внешнего вида могут не требовать согласия, но сайт должен объяснить цель и предложить простой и бесплатный способ отказаться. Эти исключения не распространяются на рекламу.

    Пример

    На странице cookie: мы используем cookie для статистики, чтобы улучшать сайт, и вы можете отключить их этой кнопкой.

  8. Проверьте, нужно ли платить сбор регулятору

    Организации, которые используют персональные данные, должны платить сбор за защиту данных, если не освобождены от него. Проверьте на сайте регулятора, относится ли это к вам.

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Для персонализированной рекламы в Великобритании Google требует сертифицированную CMP, а вот официальные страницы для выбора и настройки.

Определения

Слова, которые встречаются повсюду

Это те же понятия, что в европейском GDPR, с несколькими новыми названиями, принесёнными реформой 2025 года.

Персональные данные

Любая информация, связанная с идентифицированным или идентифицируемым лицом. Онлайн-идентификаторы, такие как cookie, рекламные ID и IP-адрес, обычно считаются персональными данными.

Контролер и обработчик

Контролёр решает, зачем и как используются данные, как владелец сайта. Оператор обрабатывает данные от его имени, как хостинговая или e-mail-компания.

Технологии хранения и доступа

Так регулятор теперь называет cookie и всё, что выполняет ту же роль: пиксели, web storage, fingerprinting и скрипты, читающие данные с устройства.

Согласие

Свободный, конкретный, осознанный выбор, сделанный чётким действием, например нажатием «принять». Молчание, заранее отмеченные поля или продолжение просмотра не считаются согласием.

Правовые основания и согласие

Когда нужно просить разрешение

UK GDPR требует правового основания для каждого использования персональных данных. Самые частые: согласие, исполнение договора, юридическая обязанность и законный интерес. Реформа 2025 года создала список признанных законных интересов, таких как предотвращение преступлений и чрезвычайные ситуации, которые освобождают от теста баланса. Реклама в этом списке не значится.

Для cookie главным является PECR. Общее правило прежнее: записывать или читать что-либо на устройстве посетителя можно только с согласия, если использование не подпадает под исключение. Стандарт согласия берётся из UK GDPR, и регулятор ожидает, что отказаться так же просто, как принять.

С 5 февраля 2026 года есть пять исключений: передача коммуникации, строго необходимая услуга, статистика для улучшения самой услуги, внешний вид или функциональность, выбранные пользователем, и экстренная помощь. В исключениях для статистики и внешнего вида сайт должен чётко предупредить и предложить простой и бесплатный способ отказаться.

Официальные рекомендации прямые: ни одно из исключений не покрывает онлайн-рекламу. Cookie и пиксели персонализированной рекламы, измерение рекламы и ремаркетинг по-прежнему требуют согласия. В мае 2026 года регулятор предложил правительству изучить исключение для малорисковой рекламы, но закон пока не изменился.

Права людей

Что посетитель может потребовать от вашего сайта

Любой человек в Великобритании может воспользоваться этими правами. У сайта должен быть канал для приёма запросов и ответа в срок.

Знать и получать доступ

Получить чёткую информацию об использовании данных и копию того, что сайт хранит о нём, как правило, в течение месяца.

Исправить и удалить

Просить исправить неверные данные и удалить их, когда нет причин хранить, например после отзыва согласия.

Возражать против маркетинга

В любой момент отказаться от использования данных для прямого маркетинга. В этом случае возражение абсолютно, и сайт должен прекратить.

Отозвать согласие

Передумать насчёт cookie так же легко, как согласился. Постоянная ссылка для повторного открытия настроек решает вопрос.

Автоматизированные решения

Быть информированным, оспаривать и просить пересмотра человеком, когда важное решение принимается только системой.

Пожаловаться контролёру

С 19 июня 2026 года тот, кто обрабатывает данные, должен иметь процесс рассмотрения жалоб и подтверждать получение в течение 30 дней.

Обязанности

Что должен сделать сайт с британскими посетителями

  1. Опубликовать полное уведомление о конфиденциальностиУкажите, кто отвечает за сайт, какие данные собирает, зачем, на каком правовом основании, с кем делится, как долго хранит и как человек реализует права. Назовите рекламных партнёров и передачу данных за пределы страны.
  2. Показать баннер с реальным выборомПеред любыми рекламными cookie или cookie для измерения рекламы запросите согласие. Принять и отказаться должны иметь одинаковый визуальный вес и находиться на одном экране.
  3. Блокировать то, что зависит от согласияПиксели, ремаркетинг и персонализированная реклама могут срабатывать только после согласия. При отсутствии ответа сайт считает это отказом.
  4. Использовать исключения прозрачноЕсли вы используете cookie для статистики или предпочтений без согласия, объясните это на странице cookie и дайте простой способ отключить.
  5. Заботиться о безопасности и утечкахЗащищайте данные и уведомляйте регулятора в течение 72 часов, когда утечка может создать риск для людей. Если риск высокий, уведомите также пострадавших.
  6. Поддерживать порядокЗаключайте договоры с поставщиками, обрабатывающими данные, проводите оценку воздействия для высокорисковых видов использования и проверяйте, должна ли компания платить ежегодный сбор регулятору.

Контроль и штрафы

Сколько стоит ошибка

Регулятор обычно начинает с предупреждений и предписаний об исправлении, но максимальные штрафы высоки, а реформа 2025 года также усилила полномочия в отношении cookie.

Высший потолок UK GDPR

До 17,5 миллиона фунтов или 4% годовой мировой выручки, в зависимости от того, что больше, за самые серьёзные нарушения, например обработку данных без правового основания.

Стандартный потолок

До 8,7 миллиона фунтов или 2% годовой мировой выручки за такие недостатки, как неполные записи или ненадлежащая безопасность.

Расширенные полномочия по cookie

Реформа 2025 года расширила полномочия регулятора по контролю и штрафам в отношении PECR. Новые правила действуют для поведения начиная с 5 февраля 2026 года.

Активный контроль

В январе 2025 года регулятор объявил о проверке баннеров тысячи самых посещаемых сайтов страны. В апреле 2026 года сообщил, что 99% из них уже соответствуют стандартам.

Хронология

Как правила дошли до нынешнего вида

Даты, которые важнее всего для тех, у кого есть посетители из Великобритании.

  1. 2003

    Рождение PECR

    Британский регламент об электронных коммуникациях начинает регулировать cookie и электронный маркетинг.

  2. 25 мая 2018 года

    GDPR и Data Protection Act 2018

    Европейский GDPR начинает действовать в Великобритании вместе с новым британским законом о защите данных.

  3. 1 января 2021 года

    Начинает действовать UK GDPR

    С окончанием переходного периода Brexit в стране появляется собственная версия GDPR.

  4. 16 января 2024 года

    Сертифицированная CMP для рекламы Google

    Для персонализированной рекламы в Великобритании AdSense и Ad Manager начинают требовать сертифицированную CMP, интегрированную с IAB TCF.

  5. 19 июня 2025 года

    Data (Use and Access) Act 2025

    Закон, реформирующий UK GDPR, Data Protection Act и PECR, получает королевское одобрение.

  6. 5 февраля 2026 года

    Новые исключения и больше полномочий

    Вступают в силу новые исключения для cookie, признанные законные интересы и новые полномочия регулятора по контролю над PECR.

  7. 29 апреля 2026 года

    Окончательные рекомендации по cookie

    Регулятор публикует окончательную версию рекомендаций по технологиям хранения и доступа.

  8. 30 сентября 2026 года

    Information Commission

    ICO заменяется на Information Commission, коллегиальный орган с теми же функциями и полномочиями.

Для тех, у кого есть AdSense или Ad Manager

Что меняется на практике для дохода

Google обращается с Великобританией так же, как с Европейской экономической зоной. Чтобы показывать персонализированную рекламу британским посетителям, сайту нужна CMP, сертифицированная Google и интегрированная с IAB TCF. Без неё этот трафик получает только неперсонализированную или ограниченную рекламу, которая обычно приносит заметно меньше.

CMP записывает выбор посетителя в TC string и передаёт сигналы Consent Mode тегам Google. Если сайт также использует Google Analytics или Google Ads, четыре сигнала Consent Mode должны отражать то, что человек выбрал в баннере.

Представьте бразильский портал рецептов, который получает небольшую долю посетителей из Великобритании, многие из них бразильцы, живущие там. Для аудитории Бразилии действует LGPD, для британской действуют UK GDPR и PECR. Правильная настройка показывает сообщение TCF только тем, кто находится в Великобритании, ЕЭЗ и Швейцарии, не мешая бразильской аудитории.

Собственное сообщение о конфиденциальности AdSense и Ad Manager сертифицировано и уже охватывает Великобританию. Тем, кто использует другую CMP, нужно убедиться, что она есть в списке Google и что Великобритания входит в настроенные регионы.

На практике

Что можно и что нельзя в Великобритании

Частые примеры на сайтах новостей, рецептов, финансов и вакансий, получающих британских посетителей.

Можно

  • Использовать cookie для статистики, чтобы улучшать собственный сайт, без согласия, если вы предупреждаете и предлагаете простой способ отказаться
  • Хранить предпочтение языка или тёмной темы посетителя на основании исключения для внешнего вида
  • Показывать сообщение TCF только посетителям из Великобритании, ЕЭЗ и Швейцарии
  • Показывать неперсонализированную рекламу тем, кто отказался
  • Использовать сообщение о конфиденциальности AdSense или Ad Manager, которое уже сертифицировано

Нельзя

  • Загружать пиксели ремаркетинга или рекламные cookie до нажатия «принять»
  • Относить измерение рекламы к исключению для статистики
  • Оставить на первом экране только кнопку «принять», спрятав отказ в меню
  • Использовать обычный плагин cookie, не входящий в список Google, для британского трафика
  • Считать продолжение просмотра согласием

Частые ошибки

Где сайты ошибаются чаще всего

Эти ошибки часто встречаются в аудитах сайтов с трафиком из Великобритании.

Думать, что Brexit вывел Великобританию из правила

Многие настраивают CMP только для Европейского союза. Британский посетитель остаётся без сообщения, и Google начинает показывать ограниченную рекламу.

Читать реформу 2025 года как общее разрешение

Новые исключения предназначены для статистики, предпочтений и экстренных случаев. Для рекламы по-прежнему нужно согласие.

Баннер только для украшения

Баннер появляется, но рекламные cookie уже записаны до ответа. Для регулятора это равносильно отсутствию запроса согласия.

Отказ сложнее согласия

Принять одним кликом, а отказаться пятью: именно такой дизайн регулятор требует исправлять у крупных сайтов.

Типовая политика конфиденциальности

Текст скопирован с другого сайта, без упоминания Google, рекламных партнёров, международных передач и канала для запросов.

Исключение без возможности отказаться

Использовать cookie для статистики или внешнего вида без согласия и не предлагать простой способ отключить значит нарушать условие самого исключения.

В ConsentMode

Что аудит проверяет для Великобритании

  • Открывает сайт как посетитель из Великобритании и из других мест и фиксирует, где появляется баннер и какие кнопки он предлагает.
  • Определяет CMP по коду страницы и сообщает, есть ли она в списке сертифицированных CMP Google.
  • Читает TC string и сигналы Consent Mode и сравнивает с тем, что выбрал посетитель.
  • Перечисляет cookie и сетевые запросы до и после согласия и указывает, что срабатывает раньше времени.
  • Проверяет, упоминает ли страница конфиденциальности рекламных партнёров, правовые основания, права и канал связи.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы

Мой сайт бразильский, и компании в Великобритании у меня нет. Применяется ли ко мне закон?

Применяется к посетителям, находящимся в Великобритании, когда сайт отслеживает их поведение, как это происходит с cookie персонализированной рекламы. И даже не глядя на закон, Google требует сертифицированную CMP, чтобы показывать персонализированную рекламу этой аудитории.

Нужно ли по-прежнему согласие на cookie Google Analytics?

Зависит от использования. Исключение для статистики действует, когда данные служат только для измерения и улучшения самого сайта, с чётким предупреждением и простой возможностью отказаться. Если инструмент использует данные для рекламы или целей самого поставщика, исключение не применяется.

ICO больше нет? Кто теперь контролирует?

С 30 сентября 2026 года функции ICO перешли к Information Commission. Роль и полномочия регулятора не изменились, и повседневная работа продолжается. Меняется модель управления, теперь она коллегиальная.

Сделала ли реформа 2025 года Великобританию более гибкой, чем Европейский союз?

В некоторых вопросах да, например новые исключения для статистики и предпочтений. Для персонализированной рекламы практический результат тот же: согласие до записи или чтения чего-либо на устройстве.

Можно ли использовать одну CMP для Великобритании и другую для Европы?

Можно, но это редко оправданно. Большинство сертифицированных CMP охватывают ЕЭЗ, Великобританию и Швейцарию с одной и той же настройкой по регионам.

Что происходит с доходом, если посетитель отказывается?

Google всё ещё может показывать этому человеку неперсонализированную или ограниченную рекламу. Доход за визит обычно меньше, но сайт продолжает монетизироваться, не нарушая правило.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Посмотрите, как ваш сайт выглядит для британского посетителя

Аудит открывает сайт из Великобритании, фиксирует баннер и cookie и показывает, что исправить, ничего не меняя.

Начать аудит